C135 PCS 7 (PCS7)
6C
6 Cielo Ciencia y Tecnología
·Publicada en C135 PCS 7 (PCS7)

Cómo prevenir QBAD en los bloques de controladores de canales F durante las conmutaciones redundantes de S7-400H

Para evitar que los bloques de controladores de canales de seguridad (F_CH_BO, F_CH_BI, F_CH_DI, F_CH_DO) activen QBAD = 1 (lo que desactiva las E/S de seguridad o passivation) durante las conmutaciones redundantes de la CPU 410-5H o las descargas de configuración en RUN (CiR), aumente el tiempo de monitorización PROFIsafe (F_WD_TIME) en los dispositivos de campo afectados. Durante una conmutación del controlador H o una descarga de hardware en línea, la comunicación a través de la línea PROFINET experimenta una breve pausa de transmisión mientras se completa la sincronización de la memoria. Si el tiempo de vigilancia (F_WD_TIME) configurado en los variadores SINAMICS o en las estaciones ET 200SP HA es más ajustado que la ventana de ejecución de conmutación del controlador, el grupo de ejecución de seguridad asume que la comunicación se ha visto comprometida, pasando a un estado seguro los canales de seguridad y sustituyendo los valores por cero seguros.

Índice de contenidos

Mecánica de la monitorización del watchdog PROFIsafe y la desactivación (passivation)

En SIMATIC PCS 7 Safety Integrated (S7 F Systems), la comunicación entre los controladores de seguridad y los nodos de seguridad distribuidos (como los variadores SINAMICS S120 que ejecutan el telegrama 30 o los módulos F de ET 200SP HA) se rige por el perfil PROFIsafe (IEC 61784-3-3):
- Contadores de secuencia consecutivos: Cada telegrama PROFIsafe incluye un número de secuencia incremental y una firma CRC de 32 bits.
- La ventana del watchdog (F_WD_TIME): El controlador de seguridad y el dispositivo esclavo intercambian señales de latido (heartbeats). Si no se reconoce un telegrama válido dentro del F_WD_TIME configurado, ambos extremos declaran una pérdida de comunicación.
- Reacción del canal de seguridad (QBAD): El bloque controlador de canales en el diagrama CFC activa el parámetro de salida QBAD = 1 y QUALITY = 16#48 (Valor de sustitución de seguridad). El controlador envía un valor cero al programa de seguridad, disparando las paradas de emergencia o desenergizando los relés de par seguro desconectado (STO).

Por qué las conmutaciones H redundantes y CiR provocan fallos QBAD

En condiciones normales de funcionamiento en estado estacionario, los tiempos de ciclo de los telegramas en PROFINET son rápidos (normalmente de 4 ms a 16 ms), cumpliendo fácilmente con los valores predeterminados de F_WD_TIME de 50 ms a 100 ms. Sin embargo, eventos operativos específicos introducen una latencia temporal:
1. Conmutación de maestro a reserva: Cuando la CPU 410-5H activa falla o se ordena una conmutación de mantenimiento, la CPU en espera asume el rol de maestro del bus. Restablecer las conexiones de redundancia de sistema PROFINET (S2) toma entre 50 ms y 250 ms.
2. Configuración en RUN (CiR): Al descargar cambios de hardware en RUN, la CPU detiene temporalmente el sondeo cíclico del bus de campo durante unas pocas ejecuciones mientras modifica las tablas de enrutamiento de periféricos internos.
3. Expiración del watchdog: Si el F_WD_TIME en el variador se establece en 80 ms, pero la conmutación requiere 120 ms, el temporizador expira antes de que el nuevo maestro transmita su primer telegrama firmado, llevando al bloque F_CH_BO a un estado de desactivación (passivation).

Cálculo del parámetro F_WD_TIME seguro mínimo

Siemens publica una fórmula estandarizada para dimensionar los tiempos de monitorización PROFIsafe en sistemas de alta disponibilidad:

$$F_WD_TIME \ge T_{switch} + 2 \times T_{cycle} + T_{bus_delay}$$

Donde:
- $T_{switch}$: El tiempo máximo de conmutación redundante de la CPU (para la CPU 410-5H, normalmente de 100 ms a 200 ms dependiendo de la topología de la línea PROFINET).
- $T_{cycle}$: El tiempo de ciclo de ejecución del grupo de ejecución de seguridad en el AS (por ejemplo, OB35 a 100 ms).
- $T_{bus_delay}$: La fluctuación (jitter) máxima de la red a través de switches y transceptores ópticos.

Para instalaciones estándar que combinan la CPU 410-5H con variadores SINAMICS y ET 200SP HA, configurar F_WD_TIME entre 250 ms y 500 ms proporciona una robusta resistencia contra la desactivación por conmutación, al tiempo que preserva los límites de respuesta de seguridad requeridos para SIL 3 / Categoría 4 (los requisitos típicos de parada de emergencia en la industria de procesos permiten tiempos de reacción de seguridad de hasta 1000 ms).

Método: Ajuste paso a paso en HW Config y propiedades del sistema F

Siga este flujo de trabajo de ingeniería para eliminar la desactivación falsa durante las conmutaciones:

Paso 1: Abrir la configuración de hardware (HW Config)

  1. En el SIMATIC Manager, navegue hasta la estación AS y abra HW Config.
  2. Localice la línea de bus de campo que aloja el variador SINAMICS S120 o la estación ET 200SP HA afectados.

Paso 2: Ajustar el tiempo de monitorización F en el dispositivo esclavo

  1. Haga doble clic en el submódulo de comunicación de seguridad:
    - Para SINAMICS S120: Seleccione las propiedades de la ranura del Safety Telegram 30 (o Telegram 31/901).
    - Para ET 200SP HA: Haga doble clic en el módulo F-DI o F-DQ y seleccione la pestaña PROFIsafe.
  2. Localice el parámetro F_WD_TIME (tiempo de monitorización F en ms).
  3. Aumente el valor desde el valor predeterminado (por ejemplo, 100 ms) a 350 ms (o calcúlese basándose en el análisis de respuesta de seguridad del proyecto).
  4. Repita la operación para todos los módulos de seguridad conectados en la línea PROFINET redundante.

Paso 3: Comprobar la configuración de compilación de S7 F Systems

  1. Abra el diagrama CFC que contiene el grupo de ejecución de seguridad.
  2. Seleccione Options -> Safety Program -> Customize.
  3. Verifique que el Safety execution time (F-cycle time) coincida con el intervalo de su OB35 configurado.
  4. Verifique que el Maximum acceptable process safety time admita el F_WD_TIME actualizado.

Paso 4: Guardar, compilar y descargar

  1. En HW Config, seleccione Station -> Save and Compile.
  2. Ejecute PLC -> Download to Module... (Descarga de cambios en RUN mediante CiR).
  3. Si se detecta un cambio en la firma F, compile el programa de seguridad y ejecute una descarga de cambio F.

Verificación

Para verificar que el sistema es inmune a la desactivación por conmutación:
- Abra los diagramas CFC que monitorizan F_CH_BO y F_CH_BI en el modo de prueba en línea (Test Mode).
- En la CPU 410-5H activa, ordene una conmutación de redundancia manual a través del SIMATIC Manager (PLC -> Module Information -> Operating Mode -> Switchover).
- Confirme durante la conmutación:
- El estado primario del controlador se transfiere sin problemas entre la CPU 0 y la CPU 1.
- El parámetro del controlador QBAD permanece rígidamente en 0 (FALSE).
- Las salidas digitales de seguridad hacia el variador SINAMICS permanecen en nivel alto y el variador no se dispara por desconexión segura de par (STO).
- Compruebe el búfer de diagnóstico de la CPU: verifique que no haya entradas de "Fallo de comunicación en el programa de seguridad" (ID de evento 16#75D1).

Limitaciones y precauciones operativas

  • Límites de respuesta de seguridad regulatorios: Aumentar el F_WD_TIME incrementa el tiempo requerido en el peor de los casos para que el controlador detecte una rotura real de cable. Verifique siempre que el tiempo de vigilancia incrementado no viole los plazos oficiales de respuesta de emergencia de la especificación de requisitos de seguridad (SRS) y de análisis de riesgos y operabilidad (HAZOP) de la planta.
  • Evite ajustes de watchdog excesivos: No establezca un F_WD_TIME arbitrariamente alto (por ejemplo, 2000 ms). Configurar tiempos excesivos compromete las funciones de seguridad de protección de máquina rápida (por ejemplo, disparos de prensas de alta velocidad o frenado de centrífugas).
  • Protocolo de reactivación (Depassivation Handshake): Si se produce la desactivación, el controlador de canales requiere un reconocimiento de reactivación por parte del operador a través del pin de entrada ACK_REI = 1 una vez que se recuperan las comunicaciones.

Preguntas frecuentes del ingeniero

¿Cuál es la diferencia entre QBAD y PASS_OUT?

QBAD es el indicador de desactivación específico de canal en los bloques de controladores que indica que el canal de E/S específico está emitiendo valores de sustitución de seguridad. PASS_OUT indica la desactivación de todo el módulo generada por el bloque de gestión del módulo F.

¿Puedo cambiar F_WD_TIME sin detener la CPU?

Sí. En los controladores modernos S7-400H / CPU 410-5H, los parámetros de PROFINET y los tiempos de vigilancia de seguridad en los esclavos distribuidos se pueden actualizar en línea utilizando Configuración en RUN (CiR), siempre que el programa de seguridad se descargue a través de una descarga de cambio F aprobada.

¿Por qué los variadores SINAMICS se desactivan más rápido que los módulos ET 200SP HA?

Los variadores de frecuencia suelen tener configurados por defecto tiempos internos de fábrica muy ajustados (por ejemplo, de 20 ms a 50 ms) optimizados para el control de movimiento de alta velocidad, mientras que las E/S de proceso tienen un valor predeterminado de 100 ms.

¿Qué debo hacer si QBAD sigue apareciendo a pesar de configurar F_WD_TIME en 500 ms?

Compruebe si hay pérdida física de paquetes en la línea PROFINET. Las altas tasas de colisión de paquetes, los transceptores de fibra defectuosos o las tormentas de difusión (broadcast) en el switch de red pueden retrasar los paquetes más de 500 ms, provocando la desactivación.

Referencias técnicas

  • Siemens Industry Online Support: SIMATIC S7 F/FH Systems - Manual de configuración y programación.
  • Entrada SIOS 109742323: Compendio de PCS 7 Parte A - Directrices de configuración (Sección: Safety Integrated).
  • Entrada SIOS 109809264: Sistema de control de procesos SIMATIC PCS 7 Sistemas de control de procesos tolerantes a fallos (S7-400H).
  • Descripción del sistema PROFIsafe: Tecnología y aplicación (PROFIBUS & PROFINET International).

Artículos relacionados

Etiquetas relacionadas

  • S7-400H
  • CPU 410-5H
  • PROFIsafe
  • S7 F Systems
  • QBAD
  • F_WD_TIME
  • Automatización Industrial
20 respuestas